[JAWS-UG CLI] STS: #1 AssumeRoleによる権限の付与 (S3管理者)

AWS CLIを利用して、S3へのフルアクセスが可能なIAMロールをIAMユーザに付与してみます。

(AssumeRole権限のあるユーザで作業します。)

前提条件
========


AssumeRoleへの権限
------------------

* AssumeRoleに対してフル権限があること。


AWS CLIのバージョン
-------------------

以下のバージョンで動作確認済

* AWS CLI 1.10.0
* AWS CLI 1.9.11

```bash:コマンド:
aws --version
```

```text:結果(例):
aws-cli/1.10.0 Python/2.7.5 Darwin/13.4.0 botocore/1.3.22
```


0. 準備
=======


変数の確認
----------

プロファイルとリージョンが想定のものになっていることを確認します。

```bash:変数の確認:
export AWS_DEFAULT_PROFILE='taro-prjZ-mbp13'
```

```bash:変数の確認:
aws configure list
```

```text:結果(例):
            Name                    Value             Type    Location
            ----                    -----             ----    --------
         profile          taro-prjZ-mbp13              env    AWS_DEFAULT_PROFILE
      access_key     ****************LOAQ shared-credentials-file
      secret_key     ****************I1O1 shared-credentials-file
          region           ap-northeast-1              env    AWS_DEFAULT_REGION
```


1. 事前作業
===========


## 1.1. IAMロール名の指定

```bash:変数の設定
IAM_ROLE_NAME='s3FullforAssumeRole'
```

IAMロールのARNを取得します。

```bash:コマンド:
IAM_ROLE_ARN=$(\
        aws iam get-role \
          --role-name ${IAM_ROLE_NAME} \
          --query 'Role.Arn' \
          --output text \
      ) \
        && echo ${IAM_ROLE_ARN}
```


## 1.2. (任意) S3バケット名の指定 (権限テスト用)

```bash:変数の設定
ORG_NAME=<組織名>
```

```bash:変数の設定
S3_BUCKET_NAME="${ORG_NAME}-handson-$(date +%Y%m%d)" \
        && echo ${S3_BUCKET_NAME}
```

同名のバケットが存在しないことを確認します。(存在する場合は、別の名前に変更してください。)

```bash:コマンド:
aws s3 ls ${S3_BUCKET_NAME}
```

```text:結果(例):
      A client error (NoSuchBucket) occurred when calling the ListObjects operation: The specified bucket does not exist
```


## 1.3. (任意) コマンドの確認 (権限テスト: 失敗)

まだ権限が無いS3へのバケット作成に失敗することを確認します。

```bash:コマンド(失敗例):
aws s3 mb s3://${S3_BUCKET_NAME}
```

```text:結果(例):
      make_bucket failed: s3://example-handson-20151207/ A client error (AccessDenied) occurred when calling the CreateBucket operation: Access Denied
```


## 1.4. トークンの有効期間の指定

15-60の間の値を指定します。

```bash:変数の設定:
EXPIRATION_MINUTES='60'
```


# 2. トークンの発行

```bash:変数の設定:
EXPIRATION_SECONDS=$(expr 60 \* ${EXPIRATION_MINUTES})
FILE_ASSUME_ROLE_OUTPUT="${IAM_ROLE_NAME}-output.json"
ROLE_SESSION_NAME="${IAM_ROLE_NAME}-session"
```

AssumeRoleTokenを取得します。

```bash:変数の確認:
cat << ETX

          IAM_ROLE_ARN:            ${IAM_ROLE_ARN}
          EXPIRATION_SECONDS:      ${EXPIRATION_SECONDS}
          FILE_ASSUME_ROLE_OUTPUT: ${FILE_ASSUME_ROLE_OUTPUT}
          ROLE_SESSION_NAME:       ${ROLE_SESSION_NAME}

ETX
```

```bash:コマンド:
aws sts assume-role \
        --role-arn ${IAM_ROLE_ARN} \
        --role-session-name ${ROLE_SESSION_NAME} \
        --duration-seconds ${EXPIRATION_SECONDS} \
        > ${FILE_ASSUME_ROLE_OUTPUT} \
        && cat ${FILE_ASSUME_ROLE_OUTPUT}
```

トークン発行時刻を確認しておきましょう。

```bash:コマンド:
date
```


# 3. トークンの利用


## 3.1. トークン情報の抽出

ここでは環境変数を利用してAssumeRoleTokenを利用します。

```bash:変数の設定:
FILE_ASSUME_ROLE_ENV="${IAM_ROLE_NAME}.env"
```

```bash:コマンド:
cat ${FILE_ASSUME_ROLE_OUTPUT} | \
awk '
        $1 == "\"AccessKeyId\":" {
          gsub(/\"/,""); gsub(/,/,""); print "export AWS_ACCESS_KEY_ID="$2
        }
        $1 == "\"SecretAccessKey\":" {
          gsub(/\"/,""); gsub(/,/,""); print "export AWS_SECRET_ACCESS_KEY="$2
        }
        $1 == "\"SessionToken\":" {
          gsub(/\"/,""); gsub(/,/,""); print "export AWS_SESSION_TOKEN="$2
        }
        ' \
      > ${FILE_ASSUME_ROLE_ENV} \
        && cat ${FILE_ASSUME_ROLE_ENV}
```


## 3.2. 一時認証の利用

```bash:コマンド:
unset AWS_DEFAULT_PROFILE
source ${FILE_ASSUME_ROLE_ENV}
```


## 3.3. (任意) コマンドの実行 (権限テスト: 成功)

```bash:コマンド(成功例):
aws s3 mb s3://${S3_BUCKET_NAME}
```

```text:結果(例):
      make_bucket: s3://example-handson-20151207/
```



# 4. (任意) マネージメントコンソールでのロール切り替え

* メニュー > アカウント名 > ロールの切り替え

* [ロールの切り替え](ボタン)

* ロールの切り替え(画面)

アカウント: AWS IDを入力します。

```bash:参考(コマンドでのAWS-IDの取得方法)
AWS_ID=$( \
        aws iam get-role \
          --role-name ${IAM_ROLE_NAME} \
          --query 'Role.Arn' \
          --output text | \
          sed 's/^.*:://' | \
          sed 's/:.*$//' \
      ) \
        && echo ${AWS_ID}
```

```text:結果(例)
XXXXXXXXXXXX
```

ロール: 以下のロール名を入力します。

```
     s3FullforAssumeRole
```

* ロールの切り替え(ボタン)を押す。


# 5. 有効期間終了後

## 5.1. (任意) コマンドの確認 (権限テスト: 失敗)

```bash:変数の設定
S3_BUCKET_NAME="${ORG_NAME}-handson-$(date +%Y%m%d)-2" \
        && echo ${S3_BUCKET_NAME}
```

同名のバケットが存在しないことを確認します。(存在する場合は、別の名前に変更してください。)

```bash:コマンド:
aws s3 mb s3://${S3_BUCKET_NAME}
```

```text:結果(例):
make_bucket failed: s3://example-handson-20151207-2/ A client error (ExpiredToken) occurred when calling the CreateBucket operation: The provided token has expired.
```


## 5.2. 変数のunset

```bash:コマンド:
unset AWS_ACCESS_KEY_ID
unset AWS_SECRET_ACCESS_KEY
unset AWS_SESSION_TOKEN
```


完了
====